Вниманию пользователей Coppermine Photo Gallery!

[PlaDima]

Сообщение от Jooz

Вот по этому я ни когда в жизни не использовал публичные движки, только свои. Нафиг нужна такая головная боль?

Я, например, не знаю ни одного языка программирования, вот и использую "публичные" движки...

[RedPage]

Сообщение от PlaDima

Я, например, не знаю ни одного языка программирования, вот и использую "публичные" движки...

я тоже или не знаю или могу только вставить куда напишут, коль я загрузил переходную аватару, можно у них на форуме почитать мои сопли, чтоб понять, с чем незнающие языка иногда мирятся. Может от счастья может от скуки но бороться иногда просто устаешь и принимаешь свой новый облик.

[ahsinis]

Сообщение от Jooz

Вот по этому я ни когда в жизни не использовал публичные движки, только свои. Нафиг нужна такая головная боль?

Вот как! Что прям и форумы свои пишете?

[Lenka]

Снова латаем дырки:
http://forum.coppermine-gallery.net/...c,59247.0.html

Добавлено через 8 часов 25 минут
Упс! Только написала ссылку, так у них сайт упал
В общем, там очередное обновление версия 1.4.22
закрыли серьезную дыру в безопасности.
Все обновление можно не ставить, есть ручной патч.

[Wink]

Lenka, спасибо, в очередной раз спасаете пользователей CPG, которые редко заходят на офф.сайт
На всякий случай копирую сюда.

For those who want to apply the vulnerability fix manually to their Coppermine installation, open docs/showdoc.php and replace:

PHP код:

// harden against expolits: check the requested vars, replace illegal chars
$file = stripslashes($file);
$forbidden_chars = array("..", "/", "%", "<", ">", "$", "'", '"');
$file = str_replace($forbidden_chars, '', $file); 


with the following lines:

PHP код:

// harden against expolits: check the requested vars, replace illegal chars
$file = stripslashes($file);
$forbidden_chars = array("..", "/", "%", "<", ">", "$", "'", '"');
$file = str_replace($forbidden_chars, '', $file);
$add_stylesheet = str_replace($forbidden_chars, '', $add_stylesheet); 


[seocore]

Сообщение от Lenka

В результате он получает полный доступ к выполнению PHP на сервере, естественно, к MySQL тоже.

да, в последнее время взломы участились, а mod_php это вообще одна большая дырка, никакие disabled_function, register_globals не спасут

вообще надо просто фильтровать все входящее в массивах:
$_GET, $_POST, $_COOKIE

искать неадекватные структуры: wget, curl, links, .txt, javascript: ...

а вообще лучше на уровне вебсервера фильтровать заголовки содержащие структуру: GET /.*http://.*HTTP/

для Apache + mod_php можно предложить что-то такое, дабы исключить perl/bash ориентированные эксплойтики
mount --bind /home/ /var/home -o noexec, nosuid

[Lenka]

Wink, если не часто заходите на офф.сайт, то возможно Вы и патч 1.4.21 пропустили?
Там на форуме, в соседней теме тоже есть ручная заплатка для безопасности.

[Wink]

Сообщение от Lenka

Wink, если не часто заходите на офф.сайт, то возможно Вы и патч 1.4.21 пропустили?

Угум-с, пропустил. Но сегодня и его поставил.

[PlaDima]

В сием чуде есть функция добавления фотографий с радикалов всяких? Или только на свой хост заливать надо?

[RedPage]

Сообщение от PlaDima

В сием чуде есть функция добавления фотографий с радикалов всяких? Или только на свой хост заливать надо?

Лучше залить на свой хост, так я если увижу, что кто-то картинки тыбрит (в смысле безбожно много) могу из вредности водный знак на всю картинку забубенить или глупость написать, на моем сайте при этом все будет цивилизовано. А вообще обычно просто перекрывают, Вам дырке не нужны на сайте, скачайте вставьте ссылку закачайте себе все щастливы.